시만텍, 새로운 IT 컴플라이언스 보고서 통해 컴플라이언스 미준수로 인한 기업의 손실 지적하고 예방책 제시
IT Policy Compliance Group이 발표한 최신 벤치마크 보고서인 “Why Compliance Pays: Reputations and Revenues at Risk (왜 컴플라이언스 준수가 이득인가: 위험으로부터 기업의 평판과 수익 보호)”는 기업들의 컴플라이언스 준수를 위한 방안이 미비하며, 이로 인해 고객 이탈, 수익 감소 및 주가 하락 등의 리스크에 노출될 수 있다고 지적했다. 이와 함께, 이 보고서는 핵심 기술 및 절차 관리를 도입하고, 최소 2주에 한 번 해당 관리 시스템을 모니터링하는 것만으로도 이러한 리스크를 크게 줄일 수 있다고 제안했다.
보고서에 따르면, 규모가 큰 기업이 컴플라이언스 준수를 실천하고 있지 않은 경우, 해당 기업은 3년에 한번 꼴로 공개적인 데이터 손실 사고를 겪을 가능성이 있는 것으로 나타났다. 반면, 컴플라이언스 준수 수준이 높은 기업의 경우 이 가능성이 42년에 한 번으로 줄어들었다. 이 벤치마크 보고서는 컴플라이언스를 잘 준수하고 있는 기업이 곧 데이터 손실 및 IT 다운타임으로 인한 비즈니스 중단 가능성이 최소인 기업과 일치한다고 밝혔다.
시만텍의 선임 소프트웨어 개발자이자 IT Policy Compliance Group의 운영 이사인 제임스 헐리 (James Hurley)는 “대부분의 기업과 공공 기관들이 매년 미비한 컴플라이언스 준수로 인해 어려움을 겪고 있으며, 이는 비즈니스 중단, 데이터 손실 및 도난으로 이어진다”고 지적하면서 “데이터 손실과 비즈니스 중단 상황이 발생할 가능성은 ‘만약 일어난다면’ 보다는 ‘언제 일어나느냐’의 문제로 인식해야 하며, 바르게 적용할 경우 이러한 상황의 영향이나 빈도를 크게 줄여줄 수 있는 여러 컴플라이언스, 리스크 및 거버넌스 프랙티스들이 존재한다”고 밝혔다.
데이터 유출의 비용
해킹 감시 단체인 Attrition.org의 데이터 손실 데이터베이스에 따르면, 미국에서만 지난 2년 동안 연평균 280건이 넘는 공개된 데이터 도난 및 손실 사고가 발생했다. 개인 사용자, 규제 기구 및 정부 기관의 데이터 유출에 대한 관심이 높아짐에 따라, 이 통계는 더욱 증가할 것으로 전망된다. IT Policy Compliance Group의 보고서에 따르면, 이러한 데이터 손실은 비즈니스에 상당한 영향을 미칠 수 있다. 이 벤치마크 보고서는 공개된 데이터 손실 사고를 경험한 조직의 경우 고객 및 수익이 8% 감소할 것으로 예상되며, 없어진 고객 정보 당 미화 100달러의 추가 비용을 소비해야 할 것이며 공개 거래 기업의 경우 주당 수익 역시 8% 감소를 예상해야 한다고 밝혔다.
컴플라이언스 선두 기업의 베스트 프랙티스
또한 이번 조사 보고서에서는 컴플라이언스를 성공적으로 준수하고 있는 기업들, 즉 최소의 데이터 손실 및 도난 가능성을 가진 기업들은 컴플라이언스 결과 향상을 통해 IT의 운영 수준, 특히 IT 전반 제어, 보안 제어 및 절차 등의 향상을 실현하고 있는 것으로 드러났다. 특히 주목할만한 것은, 최소한의 데이터 손실 가능성을 가진 기업들은 최소 2주에 한 번씩 제어 시스템을 지속적으로 모니터링하고 효과를 측정하고 있다는 점이다.
이러한 컴플라이언스 선두 기업들의 사례에 기반해, IT Policy Compliance Group의 보고서는 기업이 IT 컴플라이언스 수준을 향상시키고 비즈니스 다운타임과 데이터 손실 및 도난을 감소시킬 수 있는 다음과 같은 단계별 방법을 제시했다.
- 적절한 IT 제어 시스템을 확대 도입한다.
- 제어 대상을 줄여 커뮤니케이션, 측정 및 보고가 용이하도록 한다.
- 목표하는 성능의 기준을 높인다.
- IT 운영 수준 향상의 분위기를 장려한다.
- 최소 2주에 한 번 IT 제어 시스템을 모니터링, 측정하여 보고한다.
- 제어 자동화에 더 많은 비용을 책정한다.
최소한의 데이터 손실 및 도난 가능성과 최소한의 컴플라이언스 미준수 사항을 가진 기업들은 IT 보안 제어에 더 많은 비용을 투자하는 것은 물론 외부 계약에 들어가던 비용을 기업 내부 설비 및 소프트웨어 투자로 돌리는 경향을 보였다. 특히 이러한 투자는 제어 시스템 및 절차의 모니터링과 측정을 자동화하는데 목적을 두고 있었다.
“Why Compliance Pays: Reputations and Revenues at Risk” 보고서에 대한 보다 자세한 내용과 보고서 전문 다운로드는 IT Policy Compliance Group 웹 사이트 www.ITPolicyCompliance.com 에서 가능하다.
